IA souveraine : ce que ça veut dire concrètement pour une PME

« Souverain » : quatre questions, pas une

Le mot recouvre quatre exigences que l’on confond souvent.

Le lieu. Où les données sont-elles stockées et traitées ? Réponse géographique, vérifiable, la plus facile à obtenir — et la moins déterminante à elle seule.

Le droit. À quelle juridiction le fournisseur est-il soumis ? Affaire de siège et d’actionnariat, pas de centre de données. Un serveur à Francfort exploité par la filiale d’un groupe américain reste dans le champ du droit américain.

Le modèle. Utilisez-vous un service dont vous ignorez les versions et le calendrier, ou un modèle dont vous détenez la copie et choisissez le moment des mises à jour ?

La sortie. Combien de temps pour récupérer vos données et vos configurations, et repartir ailleurs ?

Posez les quatre questions séparément. Un fournisseur qui répond « oui, nous sommes souverains » n’a répondu à aucune.

Héberger en Europe suffit-il ?

Non, pas à soi seul. Le CLOUD Act américain, adopté en 2018, permet aux autorités américaines d’exiger d’un fournisseur soumis à leur juridiction les données qu’il détient ou qu’il contrôle — indépendamment du pays où elles sont stockées.

Deux précisions, parce que le sujet est souvent caricaturé. Il faut une procédure judiciaire américaine, dans le cadre d’une enquête pénale : ce n’est pas un accès en libre-service. Et le fournisseur peut tenter de faire annuler la demande — mais ce recours suppose un accord entre les États-Unis et le pays dont le droit serait enfreint, et l’Union n’en a pas signé.

Dès 2019, le Comité européen de la protection des données et le Contrôleur européen ont relevé le point dur : une telle injonction peut placer le fournisseur en conflit avec le RGPD.

Le risque est donc réel, mais ciblé. Il se pèse au regard de ce que contiennent vos données, pas en principe.

Peut-on encore utiliser un service américain ?

Oui, à ce jour. La décision d’adéquation « EU-US Data Privacy Framework », adoptée le 10 juillet 2023, n’a pas été annulée. Elle autorise le transfert de données personnelles vers une entreprise américaine figurant sur la liste des organisations certifiées. À défaut, il faut les garanties classiques : clauses contractuelles types et évaluation du transfert.

Ce cadre est contesté. Le Tribunal de l’Union européenne a rejeté un premier recours le 3 septembre 2025 ; un pourvoi est pendant devant la Cour de justice. Et le 31 juillet 2026, le Comité européen de la protection des données a demandé à la Commission d’évaluer les conséquences d’un arrêt de la Cour suprême américaine du 29 juin 2026 sur l’indépendance de l’autorité chargée de faire respecter ces engagements.

Conclusion pratique : c’est légal aujourd’hui. Ne construisez rien qui deviendrait ingérable si cela changeait.

SecNumCloud : est-ce que ça nous concerne ?

Probablement pas, et ce n’est pas grave.

SecNumCloud est une qualification délivrée par l’ANSSI, l’agence française de cybersécurité. Elle atteste un niveau de sécurité élevé et, surtout, une protection recherchée contre les lois extraterritoriales : siège dans l’Union, actionnaires non européens minoritaires, données, administration et journaux techniques localisés dans l’Union.

Elle est volontaire. Aucun texte général ne l’impose à une PME. Elle s’impose en pratique par certains marchés publics, certains secteurs, ou par un client qui l’exige au contrat.

Son vrai coût n’est pas son prix : c’est le catalogue. L’offre qualifiée est plus restreinte, et les services d’IA managés y sont moins nombreux qu’ailleurs.

Le bon réflexe : vérifier si votre secteur ou l’un de vos clients l’exige. Sinon, ne vous l’imposez pas par précaution.

Modèles ouverts ou service en ligne ?

Un modèle « ouvert » — dont les paramètres sont publiés et téléchargeables — règle une question : vous pouvez l’exécuter sur une infrastructure que vous choisissez. Exécuté sur la vôtre, vos documents et vos questions ne sortent pas.

Il n’en règle aucune autre. Il faut une machine adaptée, quelqu’un pour la tenir, de la surveillance, des mises à jour. Ouvert ne veut dire ni gratuit ni simple.

Un service en ligne apporte l’inverse : rien à exploiter, l’accès aux modèles les plus avancés, une facturation à l’usage — et des données qui transitent chez un tiers dont vous ne maîtrisez ni les versions ni le calendrier.

La voie moyenne convient souvent : un modèle ouvert, hébergé chez un fournisseur européen, exploité pour vous. Vous gardez la main sur le droit applicable sans reprendre l’exploitation.

Pourriez-vous changer de fournisseur ?

C’est la question la plus utile, et la moins posée.

Le règlement européen sur les données, applicable depuis le 12 septembre 2025, encadre le changement de fournisseur cloud : préavis plafonné à deux mois, puis une transition de trente jours au plus — prolongeable une fois à votre demande, davantage si le fournisseur justifie une impossibilité technique. Les frais de changement disparaissent le 12 janvier 2027 ; les frais de service et les pénalités de résiliation anticipée, eux, restent dus.

Le droit vous ouvre la porte. Il ne rend pas votre système portable pour autant. Ce qui retient, ce sont vos intégrations, vos index, vos consignes réglées pour un modèle précis, et les habitudes de vos équipes.

Deux réflexes peu coûteux : garder une copie exploitable de vos données et de vos configurations, et éviter une fonction propriétaire quand un équivalent standard existe.

Testez la sortie une fois. Une réversibilité jamais essayée n’existe pas.

Quand la souveraineté n’est pas le bon combat

Souvent, honnêtement.

Un compte rendu de réunion interne, un brouillon de courrier commercial, une reformulation de texte : le débat n’a pas lieu d’être. Prenez l’outil le plus simple, avec des règles claires sur ce qu’on n’y met pas.

Elle le devient dès qu’une de ces trois situations est la vôtre. Vos données relèvent d’un régime propre — santé, secteur régulé, marchés publics sensibles. Vous avez signé à vos clients des engagements de confidentialité qui vous lient, quoi qu’en dise votre fournisseur. Ou la fuite d’un corpus vous coûterait un avantage réel : méthodes, prix, contrats.

Le test tient en une phrase. Regardez ce qui entre dans l’outil, pas l’outil. Le même service peut être acceptable pour vos supports de formation et exclu pour vos dossiers clients.